PT-2026-35073 · Opentelemetry · @Opentelemetry/Instrumentation

Mralias · Publicado 2026-04-17 · Atualizado 2026-05-14 · CVE-2026-41433

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.4

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H

Name of the Vulnerable Software and Affected Versions OpenTelemetry eBPF Instrumentation versões 0.4.0 até 0.7.x

Description Uma falha no caminho de injeção do agente Java permite que um invasor local que controla uma carga de trabalho Java sobrescreva arquivos arbitrários do host quando a injeção Java está habilitada e a instrumentação está sendo executada com privilégios elevados. O injetor confiava na variável TMPDIR do processo alvo e utilizava semânticas de criação de arquivos inseguras, permitindo a evasão de limites do sistema de arquivos e a sobreposição de arquivos baseada em links simbólicos.

Recommendations Atualizar para a versão 0.8.0.

Exploit

Correção

Link Following

Path traversal

Enumeração de Fraquezas

CWE-59

CWE-22

Identificadores relacionados

CVE-2026-41433

GHSA-8GMG-3W2Q-65F4

Produtos afetados

@Opentelemetry/Instrumentation

Referências · 7

• 🔥 https://github.com/open-telemetry/opentelemetry-ebpf-instrumentation/security/advisories/GHSA-8gmg-3w2q-65f4 · Exploit
• https://github.com/open-telemetry/opentelemetry-ebpf-instrumentation · Nota
• https://github.com/open-telemetry/opentelemetry-ebpf-instrumentation/releases/tag/v0.8.0 · Nota
• https://osv.dev/vulnerability/GHSA-8gmg-3w2q-65f4 · Aviso do Fabricante
• https://t.me/cveNotify/163474 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-41433 · Nota de Segurança
• https://twitter.com/CVEnew/status/2047798563007234465 · Publicação no Twitter